Verifizierung und Validierung: was MDR Anhang II Nr. 6, ISO 13485 Abschnitt 7.3 und die QMSR seit dem 2. Februar 2026 an Nachweisen verlangen

Wer einen Verifizierungs- und Validierungsnachweis für ein Medizinprodukt oder einen GMP-Prozess aufbaut, arbeitet gegen drei Texte, die verschieden zählen. Die MDR sagt, was in der Technischen Dokumentation stehen muss. ISO 13485:2016 sagt, welche Schritte das Qualitätsmanagementsystem vorsehen muss, und gibt ihnen Nummern. Die QMSR der FDA sagt seit dem 2. Februar 2026, dass genau diese Norm in den Vereinigten Staaten bindendes Recht ist, und hat die eigene Fassung der Anforderungen gestrichen. Für Arzneimittelhersteller kommt Annex 15 des EU-GMP-Leitfadens hinzu. Dieser Beitrag legt die Texte nebeneinander und nennt bei jeder Pflicht die Fundstelle.

Was die MDR in der Technischen Dokumentation sehen will

Zwei Nummern des Anhangs II tragen den V&V-Nachweis. Nr. 4 verlangt für jede geltende grundlegende Sicherheits- und Leistungsanforderung „eine Begründung für die zur Erfüllung dieser Anforderungen gewählten Lösungen und deren Validierung und Verifikation" und unter Buchst. d „die genaue Bezeichnung der gelenkten Dokumente", die die Konformität belegen, mit „einem Verweis auf die Stelle, an der solche Nachweise innerhalb der vollständigen technischen Dokumentation … aufzufinden sind". Das ist die Traceability, die eine Benannte Stelle prüft: von der Anforderung über die Methode zum gelenkten Dokument und zu dessen Fundort.

Nr. 6 heißt „Verifizierung und Validierung des Produkts" und verlangt „die Ergebnisse und kritischen Analysen aller Verifizierungs- und Validierungstests und/oder der Studien". Nr. 6.1 Buchst. b nennt den Inhalt: „detaillierte Informationen zum Testaufbau, vollständige Test- oder Studienprotokolle, Methoden der Datenanalyse", insbesondere zur Biokompatibilität mit „Identifizierung aller Materialien in direktem oder indirektem Kontakt mit dem Patienten oder Anwender", zur physikalischen, chemischen und mikrobiologischen Charakterisierung, zur elektrischen Sicherheit und EMV, zur Stabilität einschließlich Haltbarkeitsdauer sowie zu Leistung und Sicherheit. Für Software ist die Anforderung am ausführlichsten: der „Nachweis der Validierung der Software, wie sie im fertigen Produkt verwendet wird", mit den Ergebnissen aller Tests, „die vor der endgültigen Freigabe sowohl hausintern als auch in einer simulierten oder tatsächlichen Anwenderumgebung durchgeführt wurden", über alle Hardware-Konfigurationen und Betriebssysteme. Wer keine neuen Tests durchführt, braucht eine Begründung in der Dokumentation; die MDR nennt als Beispiel Biokompatibilitätstests an identischen Materialien eines Vorgängermodells.

Dazu kommen Anhang I Abschnitt 17.2, der für Software die Beachtung der Grundsätze „des Software-Lebenszyklus, des Risikomanagements einschließlich der Informationssicherheit, der Verifizierung und der Validierung" verlangt, und Anhang II Nr. 6.2 Buchst. e, der bei sterilen Produkten die Validierungsberichte zu Verpackung, Sterilisation und Aufrechterhaltung der Sterilität verlangt, mit „Prüfung der Biobelastung, Pyrogentests und gegebenenfalls … Sterilisiermittelrückständen". Die IVDR führt in Anhang II Nr. 6 dieselbe Überschrift, dort als „Überprüfung und Validierung des Produkts", gegliedert nach Probentypen, Genauigkeit, analytischer Sensitivität und Spezifität.

Auf der Seite des Qualitätsmanagementsystems verlangt Anhang IX Abschnitt 2.2 Buchst. c eine Beschreibung der „Verfahren und Techniken zur Überwachung, Überprüfung, Validierung und Kontrolle der Produktauslegung" samt der daraus hervorgehenden Daten und Aufzeichnungen, Buchst. d die Herstellungstechniken, „insbesondere die speziell bei der Sterilisation zu verwendenden Verfahren und Methoden", und Buchst. e die „Versuche und Prüfungen, die vor, während und nach der Herstellung vorzunehmen sind", mit nachvollziehbar kalibrierten Prüfgeräten.

Was ISO 13485:2016 mit Nummern versieht

Die Norm ist nicht frei zugänglich, ihre Gliederung ist es. Das Inhaltsverzeichnis der DIN EN ISO 13485:2021-12 führt unter 7.3 „Entwicklung" die Abschnitte 7.3.3 „Entwicklungseingaben", 7.3.4 „Entwicklungsergebnisse", 7.3.6 „Entwicklungsverifizierung", 7.3.7 „Entwicklungsvalidierung" und 7.3.10 „Entwicklungsakten"; unter 7.5 steht 7.5.6 „Validierung der Prozesse zur Produktion und zur Dienstleistungserbringung", unter 4.2 der Abschnitt 4.2.3 „Medizinproduktakte".

Die Gliederung trägt zwei Aussagen, die in einem V&V-Plan wiederzufinden sein müssen. Verifizierung und Validierung sind getrennte Abschnitte mit eigener Nummer; ein Plan, der nur eine der beiden Stufen vorsieht, weicht von der Struktur der Norm ab, bevor eine Zeile Normtext gelesen ist. Und die Prozessvalidierung hat in 7.5.6 ihren eigenen Ort, getrennt von der Entwicklung, so wie die MDR in Anhang IX Abschnitt 2.2 die Produktauslegung in Buchst. c von den Herstellungstechniken in Buchst. d trennt.

Was die QMSR seit dem 2. Februar 2026 anders macht

21 CFR Part 820 trägt seit dem 2. Februar 2026 den Titel Quality Management System Regulation. § 820.7 bindet zwei Dokumente per Verweis ein: ISO 9000:2015(E), Clause 3, für die Begriffe des § 820.3 und ISO 13485:2016(E) für die §§ 820.1, 820.3, 820.10, 820.35 und 820.45. § 820.10 Buchst. a verlangt ein dokumentiertes Qualitätsmanagementsystem, das „the applicable requirements of ISO 13485" erfüllt; Buchst. c verlangt von Herstellern der Klassen II und III sowie der gelisteten Klasse-I-Produkte, darunter alle „Devices automated with computer software", die Einhaltung von „Design and Development, Clause 7.3 and its Subclauses in ISO 13485". § 820.1 Buchst. b legt fest, dass bei einem Widerspruch zwischen einer Klausel der ISO 13485 und dem Federal Food, Drug, and Cosmetic Act das Gesetz gilt, und § 820.10 Buchst. e nennt die Folge eines Verstoßes: Das Produkt gilt nach Section 501(h) als „adulterated".

Für den V&V-Nachweis bedeutet das dreierlei. Die vormaligen Unterabschnitte der QSR, in denen Design Verification, Design Validation und Process Validation mit eigenen Definitionen standen, die früheren §§ 820.30 und 820.75, sind abgelöst; die QMSR führt die §§ 820.20 bis 820.30 und den § 820.40 als „Reserved", die Subparts C bis O sind leer. Die Begriffe Design History File, Device Master Record und Device History Record sind keine QMSR-Begriffe mehr; § 820.3 Buchst. b spricht von der „medical device file (MDF)", und nach der FDA-Auskunft im Register müssen Aufzeichnungen von vor dem 2. Februar 2026 die alten Begriffe nicht entfernen. Und was die QMSR über die Norm hinaus verlangt, steht in § 820.35 für Aufzeichnungen, etwa die UDI je Produkt oder Charge, und in § 820.45 für Kennzeichnung und Verpackung, die „for accuracy prior to release or storage" zu prüfen sind. Ein V&V-Plan für ein Produkt mit US-Markt zitiert deshalb dieselben Nummern wie ein Plan für die EU: 7.3.6, 7.3.7 und 7.5.6.

Was Annex 15 für Prozesse verlangt

Annex 15 gilt in seiner revidierten Fassung seit dem 1. Oktober 2015. Sein Abschnitt General verlangt, dass Umfang und Tiefe von Qualifizierung und Validierung „based on a justified and documented risk assessment" sind, und sagt zur retrospektiven Validierung: „Retrospective validation is no longer considered an acceptable approach." Nr. 1.4 und 1.5 verlangen einen Validation Master Plan mit Politik, Rollen, Status aller Anlagen und Prozesse, Change Control, „Guidance on developing acceptance criteria" und der Strategie einschließlich Requalifizierung.

Nr. 3 beschreibt die Qualifizierungsstufen: User Requirements Specification als „point of reference throughout the validation life cycle", Design Qualification mit Verifizierung der URS, FAT und SAT, Installation Qualification mit Prüfung gegen Zeichnungen und Spezifikationen, Kalibrierung und Werkstoffnachweis, Operational Qualification mit Tests der Betriebsgrenzen „and/or 'worst case' conditions" und Performance Qualification mit Produktionsmaterial „with worst case batch sizes" über den Betriebsbereich des Prozesses. Nr. 5 regelt die Prozessvalidierung: nach 5.3 prospektiv „wherever possible" vor der Zertifizierung des Produkts, nach 5.7 mit dokumentierter Grundlage, warum ein Parameter oder Attribut kritisch ist. 5.19 legt die Zahl der Chargen in die Hand des Herstellers, der sie nach Qualitätsrisikomanagement festlegt und begründet; 5.20 nennt „a minimum of three consecutive batches manufactured under routine conditions" als in der Regel akzeptabel. 5.22 legt den Protokollinhalt fest, von den kritischen Prozessparametern und Qualitätsattributen mit Akzeptanzkriterien bis zu Analysenmethoden samt Methodenvalidierung, In-Prozess-Kontrollen und Probenahmeplan. 5.28 bis 5.32 verlangen die fortlaufende Prozessverifizierung über den Lebenszyklus, Nr. 11.4 die Bewertung jeder geplanten Änderung auf ihre Auswirkung auf „validation, regulatory status, calibration, maintenance"; diese Bewertung dient dazu, „to plan for any necessary process validation, verification or requalification efforts".

Was für die Praxis folgt

Vier Stellen entscheiden, ob der Nachweis trägt. Erstens die Form der Technischen Dokumentation: Anhang II Nr. 4 Buchst. d verlangt den Verweis je Anforderung auf das gelenkte Dokument und seinen Fundort, Nr. 6.1 Buchst. b die vollständigen Protokolle und die Methode der Datenanalyse; ein Bericht, der nur Ergebnisse zusammenfasst, erfüllt beides nicht. Zweitens die Struktur des Plans: Verifizierung nach 7.3.6 gegen die Entwicklungseingaben nach 7.3.3, Validierung nach 7.3.7 gegen die Zweckbestimmung, Prozessvalidierung nach 7.5.6 für Prozesse, deren Ergebnisse nicht oder nicht durch nachfolgende Überwachung oder Messung verifiziert werden können. Drittens die Rechtsgrundlagen im Plan: Wo noch 21 CFR 820.30 oder 820.75 zitiert werden, sind die jeweils geltenden QMSR-Anforderungen und die entsprechenden Abschnitte der ISO 13485 heranzuziehen: § 820.10(c) in Verbindung mit Abschnitt 7.3 für Design Controls sowie § 820.10(a) in Verbindung mit Abschnitt 7.5.6 für die Prozessvalidierung. Viertens die Chargenlogik: Die Zahl der Validierungschargen ist nach Annex 15 Nr. 5.19 eine begründete Entscheidung, drei ist die Untergrenze des Üblichen, und die Begründung steht im Protokoll, bevor die erste Charge läuft.

Entourage erstellt V&V-Masterpläne, Verifizierungs- und Validierungsprotokolle mit durchgängiger Traceability und Prozessvalidierungen nach IQ, OQ und PQ in der Verification & Validation und baut die Entwicklungsakten nach ISO 13485 Abschnitt 7.3 in den Design Controls.